サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）とは？

SCS評価制度（Supply Chain Security評価制度）は、経済産業省とIPA（情報処理推進機構）が推進する制度で、 企業のサイバーセキュリティ対策状況を共通の基準で評価・可視化し、 サプライチェーン全体のセキュリティレベル向上を目的としています。 

近年、取引先や委託先を経由したサイバー攻撃が増加しており、 企業には自社だけでなくサプライチェーン全体でのセキュリティ対策が求められています。 SCS評価制度は、発注元企業と取引先企業が共通の基準でセキュリティ対策状況を確認できる仕組みとして整備されています。

期待される効果

取引先のセキュリティ対策状況を客観的に確認できるようになることで、 サプライチェーンにおけるリスクの低減や、企業間取引における信頼性向上が期待されています。 また、中小企業においても、自社に必要なセキュリティ対策の実施状況を明確にし、 効率的なセキュリティ強化を進めることができます。

制度開始時期

★3および★4の評価については、2026年度末頃（2027年1～3月頃）の申請受付開始が予定されています。

評価制度の概要

	★3	★4
想定される脅威	広く認知された脆弱性等を悪用する一般的なサイバー攻撃	供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃 機密情報等、情報漏えいにより大きな影響をもたらす資産への攻撃
対策の基本的な考え方	すべてのサプライチェーン企業が 最低限実装すべきセキュリティ対策： 基礎的な組織的対策とシステム防御策を中心に実施	サプライチェーン企業等が 標準的に目指すべきセキュリティ対策： 組織ガバナンス・取引先管理、システム防御・検知、インシデント対応等包括的な対策を実施
要求事項	26件	43件
有効期間	1年	3年
評価スキーム	専門家確認付き自己評価（注1）	第三者評価

 

出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました」より★3および★4についての記述を抜粋。
（注1）専門家：登録セキスぺ、CISSP等の資格を有し、かつ制度が定める研修を受講したセキュリティ専門家

メリットとリスク

★3を取得するメリット	★3を取得しないリスク
〇取引継続・新規受注に有利 ★の数で安全性を客観的に証明できる 〇対策コストの最適化 すべき範囲が明確になり無駄投資を防げる 〇共通基準で手間を一本化 取引先ごとの個別チェックが不要になる	〇取引継続の危機 発注元が★提示を条件とする動きが加速 〇インシデントリスク 対策の漏れがサイバー攻撃の入口になる 〇競合他社に後れを取る 取得済み企業が優先される商談が増加中

★3の取得ステップ

準備から取得までに約3～4カ月かかります。
2027年3月の運用開始に間に合わせるには今すぐ着手が必要です。

対策別おすすめツール・サービス

★3取得に向けて、ワンストップでサポートします！

ガバナンス整備（A）＋ ツールの導入（B）+ 適切な運用を組み合わせることで、
★3の要求事項81件をカバーすることができます。

必要な対策の全体像

大分類	主な対策内容	★3の要件	★4の要件
ガバナンスの整備	企業として最低限のリスク管理体制の構築	8件	19件
取引先管理	取引先に課す最低限のルール明確化	4件	7件
リスクの特定	自社IT 基盤や資産の現状把握	11件	29件
攻撃等の防御	不正アクセスに対する基礎的な防御/ 端末やサーバーの基礎的な保護	48件	82件
攻撃等の検知	ネットワーク上の基礎的な監視等	3件	8件
インシデントへの対応	インシデント発生に備えた対応手順の整備	6件	6件
インシデントからの復旧	インシデント発生から復旧するための対策の整備	1件	2件
合計		81件	153件

A.ガバナンスの整備

ガバナンス整備とは、セキュリティに関する「組織のルール・体制・手順」を文書化する作業です。
IT ツールの導入だけでは★取得はできません。
多岐にわたる文書や規程を整備する必要があり、これらをゼロから自社だけで作るのは非常に困難です。
「ガイドライン対応サポートアカデミー」は、お客様が自身で対応するのに必要なツール・サポートを低価格で提供します。

	ガイドライン対応サポートアカデミー	コンサル会社へ委託した場合
費用	¥450,000 （税別）	高価（時間単価）
支援内容	人材育成・対策の実践に必要な知識取得 必要なツール・サポート提供	定めた目的の完遂のため コンサルタントが主体となり対応
主体	お客様ご自身	コンサルタント

B.技術的対策

★3取得に必要なIT ツールを紹介します。

大分類	内容	製品名
リスクの特定	PC・デバイスの把握・操作ログ ライセンス管理・資産台帳自動化	Lanscope SKYSEA Client Viewなど

• 「IT資産・ログ管理」ツールのご紹介はこちら。

大分類	内容	製品名
攻撃等の検知	FW・VPN・IPS/IDS 統合 Web フィルタ・不正通信遮断	FortiGateなど

• 統合脅威管理「FortiGate」のご紹介はこちら

大分類	内容	製品名
攻撃等の防御	中小企業向け低コストEDR 端末へのマルウェア侵入を防止	あんしんプラスなど
	クラウドSSO・多要素認証を実現 ID アクセス権の一元管理	HENNGE One Onegateなど
	ユーザ/ グループ管理を一元化 条件付きアクセス・ゼロトラスト対応	ActiveDirectory Entra IDなど

• 「あんしんプラス」のご紹介はこちら
• ネットワーク認証ツールのご紹介はこちら
• メールセキュリティツールのご紹介はこちら

大分類	内容	ツール名
インシデントからの復旧	クラウドバックアップ・世代管理 感染前への迅速復旧	KeepBackupなど

• 「KeepBackup」のご紹介はこちら